La step-up authentication (authentification renforcée) consiste à élever le niveau d'authentification au moment d'une action sensible, plutôt qu'à imposer le niveau maximal à chaque connexion. L'utilisateur entre avec un facteur courant ; une preuve supplémentaire et plus forte n'est demandée qu'au moment où l'enjeu le justifie.
Les déclencheurs habituels
- Nature de l'action : virement, changement de coordonnées bancaires, export de données, création d'un compte à privilèges ;
- Franchissement d'un seuil : montant, volume de données, nombre d'opérations ;
- Contexte inhabituel : nouvel appareil, réseau inconnu, horaire atypique, score de risque élevé ;
- Ancienneté de la session : la dernière preuve d'identité remonte à trop longtemps.
Techniquement, OpenID Connect véhicule cette logique par les claims acr et amr : l'application
exige un niveau, l'IdP indique celui qui a été réellement atteint et déclenche une nouvelle
vérification si nécessaire.
Deux conditions pour que cela serve
Le facteur d'escalade doit être d'une autre nature. Redemander le même mot de passe ou un nouveau code par SMS n'élève pas le niveau : l'attaquant qui a franchi la première étape franchira la seconde par le même moyen.
La preuve doit porter sur l'action, pas seulement sur la session. Une escalade qui se contente de prolonger une session ne protège pas d'un détournement en cours. En affichant explicitement l'opération et en exigeant un raisonnement propre à l'utilisateur, on obtient une preuve d'intention, rattachée à ce qui est réellement engagé.
Aller plus loin : step-up authentication : élever le niveau au bon moment · authentification transactionnelle · définition de la risk-based authentication · l'authentification cognitive